Los mensajes de texto de phishing se han actualizado nuevamente. ¿Cómo deberían los bancos y las instituciones financieras afrontar el riesgo de pérdida de usuarios?
Según datos del "Informe de estado de Fessey 2020" de la empresa estadounidense de seguridad de redes ProofPoint, afectada por la epidemia mundial, la tasa de crecimiento global de los ataques de phishing por SMS en 2020 superará los 300. Entre ellos, los ataques de phishing contra instituciones financieras representaron la mayor proporción, representando el 22,5% de todos los ataques. En China, la proporción llega a 26,88:
Recientemente, se han producido con frecuencia casos de "phishing de mensajes de texto bancarios falsos" La Comisión Reguladora de Banca y Seguros de China también emitió un documento urgente para investigar el phishing reciente de mensajes de texto. estafas que pretendían ser varios bancos enviando información de servicio Advertencia de riesgo:
Hay varias señales de que las pandillas involucradas en pandillas se han dirigido a usuarios de varios bancos, lo que amenazará seriamente la seguridad de la propiedad de los usuarios y tendrá una muy mala reputación. impacto en la imagen de marca de los principales bancos.
Ya en 2012, se enviaban casi 1.900 millones de mensajes de texto cada día a través de software de mensajería en tiempo real como WhatsApp, mientras que los mensajes de texto tradicionales eran solo 17.600 millones. Desde entonces, la gente grita cada año “los SMS están muertos”. Como resultado, no sólo no murieron, sino que también cambiaron sus trucos y bombardearon tu teléfono móvil todos los días:
Con la proliferación del marketing, el coste de conversión del tráfico es cada vez mayor. Tomemos como ejemplo el anuncio de pantalla abierta con más defectos:
Este tipo de diseño con una alta tasa de postproducción tiene como objetivo hacer que la tasa de clics supere el límite superior de 12 en la industria. Los mensajes de texto son diferentes:
Según los datos de Mobile Squared, en todos los canales de marketing, casi el 90% de los mensajes de texto se abren y leen dentro de los tres minutos posteriores a su recepción, lo cual no tiene comparación con ningún otro canal de marketing directo.
Con su singular sentido de urgencia, los SMS han dado lugar a nuevas oportunidades de negocio. Además de los códigos de verificación por SMS habituales y las notificaciones de servicio por SMS, cada vez más bancos utilizan SMS para promocionar a clientes nuevos y antiguos. Cada vez más usuarios de bancos se están acostumbrando a interactuar con sus bancos a través de mensajes de texto. Sin darse cuenta, los bancos también ayudan a las bandas criminales a cultivar hábitos de usuario:
En un entorno perfecto de ataque de phishing, las bandas negras solo pueden imitar a los grandes bancos para interactuar regularmente con los usuarios a través de mensajes de texto y luego implementar mensajes de texto de phishing.
Según un informe de investigación del Centro de Denuncias de Delitos en Internet (IC 3) del FBI, en los últimos tres años, las pérdidas causadas por ataques de phishing en Estados Unidos superaron los 26 mil millones de dólares. En nuestro país, desde 2020, solo la interceptación de información de fraude de phishing ha evitado directamente que el público sufra pérdidas económicas de casi 654,38 billones de yuanes.
En Estados Unidos, JPMorgan Chase Bank, como representante en el ámbito financiero, fue seleccionada como la marca más imitada por mensajes de texto de phishing junto a Netflix y Apple. La amenaza de los "correos electrónicos falsos de phishing bancario" se ha extendido a todas partes del mundo:
En China, muchos bancos, incluidos Minsheng Bank, Hua Xia Bank, China Merchants Bank, Zhongbang Bank, Guizhou Bank, Jiaxing Bank y Huzhou Bank, Bank of Kunlun, Bank of Zhengzhou, etc. , envía advertencias de riesgo a los usuarios a través de canales oficiales, recordándoles que tengan cuidado con los nuevos métodos de fraude que falsifican mensajes de texto bancarios:
3. El negro y el gris detrás de los ataques de phishing
As one. Uno de los primeros tipos de ataques a la red. Uno, los ataques de phishing se remontan a la década de 1990. Con el desarrollo de Internet móvil, los ataques de phishing móviles se han desarrollado sobre la base de los ataques de phishing tradicionales, entre los cuales los ataques de phishing por SMS son una variante de los ataques de phishing tradicionales:
Como parte de las amenazas móviles, los "SMS de phishing "Los ataques se han convertido en una amenaza importante para Internet. Con la continua ocurrencia de diversos incidentes de fuga de información y datos, un conjunto completo de información privada de los ciudadanos, incluidos nombres, números de teléfonos móviles, números de tarjetas bancarias, información de tarjetas de identificación, etc., está al alcance de los delincuentes.
A medida que la sociedad presta más atención a los ataques de phishing, los métodos de ataque tradicionales se están volviendo cada vez más familiares para los usuarios. El simple engaño de información y el engaño de contenido de sitios web similares hacen difícil implementar con éxito un ataque de phishing:
1. Sitio web de phishing:
Como vínculo clave en el fraude, este es básicamente otro gasto difícil además de los datos. Entre ellos se incluyen: el registro de nombres de dominio bancarios falsificados, sitios web oficiales que imitan a los principales bancos, un gran número de sitios web de phishing adaptados a interfaces de teléfonos móviles, la compra de servidores no registrados en Estados Unidos o Hong Kong para crear programas de interceptación, etc. El precio de crear un sitio web completo de phishing hace cinco años era probablemente de varios miles de yuanes.
A medida que la división del trabajo se vuelve cada vez más detallada, han surgido proveedores de servicios de red grupales, que brindan una gama completa de servicios para negocios ilegales, incluida la creación de sitios web de phishing, la compra de nombres de dominio, el arrendamiento de servidores e incluso el sitio web. mantenimiento. Para mejorar la competitividad, los proveedores de servicios también han abierto varios sistemas de gestión de backend para proporcionar a las organizaciones del mercado negro "servicios integrales de ataque de phishing":
2 Adquisición de datos precisa
En. Para aumentar la tasa de conversión de mensajes de texto de phishing y reducir los costos operativos, los actores negros comprarán datos de "distribuidores de datos". Los proveedores de datos pueden obtener datos de usuarios de diversas industrias a través de varios canales, entre los cuales los datos de la industria financiera son los más populares. A través del mercado negro, foros oscuros y transacciones en las redes sociales, el precio unitario de datos de primera mano de alta calidad generalmente puede alcanzar miles de yuanes sobre una base de 10.000 yuanes. Una vez que la industria negra domine la información real de los usuarios del banco, como el nombre, el número de teléfono móvil, el documento de identidad, la tarjeta bancaria y otra información privada importante, la destructividad de los mensajes de texto de phishing mejorará cualitativamente.
3. Las pseudoestaciones base envían mensajes de texto de phishing:
Para mejorar las capacidades anti-reconocimiento y la movilidad, los equipos de las pseudoestaciones base se actualizan constantemente, desde fijos a móviles, desde lo alto. potencia a baja potencia, desde tamaño grande hasta tamaño pequeño, hace que sea más fácil para los delincuentes llevarlo y realizar el modo de ataque móvil. Por ejemplo, las personas pueden llevar sus dispositivos hacia y desde el centro de la ciudad y grandes comunidades por unos 500 yuanes por hora o en forma de intercambio cooperativo.
En la actualidad, los mecanismos de control de riesgos de los principales operadores nacionales y plataformas de SMS son cada vez más estrictos, y la probabilidad de ser interceptados al enviar estos sitios web de phishing es cada vez mayor. Por ello, algunos productores ilegales comenzaron a utilizar canales internacionales de SMS para enviar información y evadir auditorías. Estos canales de SMS internacionales también los proporcionan empresas especializadas, generalmente a partir de 5.000 yuanes y entre 3 y 4 céntimos por yuan.
4. Exención
Cuando un usuario muerde el anzuelo, el mercado negro clasificará los datos recibidos en segundo plano del sitio web de phishing y utilizará la función de pago rápido en línea de cada banco. para consultar el saldo. Luego consume directamente, transfiere o paga a través de un tercero. Aquellos con saldo no gastado se venderán a diferentes precios (la mayoría se empaquetará y venderá varias veces a un precio de 1 yuan). Aquellos con saldos grandes a veces encontrarán a alguien que coopere con ellos para "lavar materiales".
5. Lavado de materiales:
Los productos negros realizan "materiales" de varias maneras. Generalmente, abren pagos rápidos para recargar agua y electricidad, facturas de teléfono y moneda de juegos, o utilizan interfaces de transferencia de pagos de terceros y otras lagunas en los pagos rápidos bancarios para convertir los "cuatro artículos principales" en efectivo y luego compartirlos con socios en proporción a través de diversos medios Para evitar el rastreo, el ingreso diario promedio es de más de 6 cifras.
Al mismo tiempo, los SMS de phishing aún mantienen una rápida iteración técnica y actualizaciones de estrategia:
Utilizando comunicaciones móviles, plataformas de videos cortos, medios enriquecidos y otros escenarios de marketing, el contenido transmitido por phishing SMS Se volverá cada vez más rico. Estos mensajes se utilizan para inducir a los usuarios a descargar aplicaciones fraudulentas o abrir enlaces a sitios web móviles fraudulentos o para robar contraseñas;
El uso de textos más engañosos y enlaces cortos ocultan el verdadero propósito fraudulento a los usuarios del banco. Los productos negros utilizan nombres de dominio de alta defensa en forma de caracteres URL legales, de modo que los nombres de dominio falsos solo muestran la parte legal del nombre de dominio en la pequeña barra de direcciones de los dispositivos móviles;
Con énfasis en urgencia de noticias y tentación irresistible, phishing La tasa de conversión de mensajes de texto aumentará aún más;
Los frecuentes ataques de phishing están provocando la pérdida de usuarios en línea de los principales bancos. Según un estudio de Symantec, casi un tercio de los usuarios de bancos dicen que se han visto disuadidos de utilizar la banca en línea por temor a ataques de phishing.
A medida que los métodos de ataque de phishing por SMS se vuelven cada vez más complejos, los incidentes continúan ocurriendo a un ritmo elevado, causando enormes pérdidas a los bancos y a los usuarios, afectando gravemente la seguridad de la propiedad de los usuarios y perdiendo gradualmente la confianza en los bancos.
Como proveedor de servicios en el campo de la seguridad interactiva, Ji Dan examinará los ataques de phishing SMS desde la perspectiva de la interacción entre empresas y usuarios:
Hace cinco años, en la conferencia de hackers KCon, el experto en seguridad de redes Seeker declaró en "Pseudo estación base" Tecnología de utilización avanzada: descifrar completamente el código de verificación de SMS" establece claramente que el mecanismo de autenticación de seguridad del código de verificación de SMS es fácil de romper y debe abandonarse lo antes posible.
Construcción de pseudoestación base GSM: Hardware: PC normal, antena USRP b2x 0 (o Motorola c 118/c 139 CP 2102). Software: Ubuntu Linux, OpenBSC. OpenBSC: un sistema de estación base GSM/GPRS de código abierto, interfaz abierta y alto rendimiento iniciado y mantenido por osmo com.
En vista de las deficiencias y los riesgos de seguridad de los códigos de verificación por SMS, el rendimiento específico es el siguiente:
Obviamente, si solo confía en los códigos de verificación por SMS para confirmar la identidad del usuario, no existen ciertos riesgos de seguridad. Para la plataforma, además de la verificación por SMS, existe una necesidad urgente de agregar nuevos métodos de verificación en escenarios comerciales que involucran pagos grandes y cambios de contraseñas de transacciones de usuarios.
Alternativa: número de teléfono móvil insensibilizado, inicio de sesión sin SMS
Estudie detenidamente todo el enlace de ataque de SMS de phishing de la industria negra. Los SMS son un avance importante para que la industria negra se abra paso. la línea de defensa del banco. En nodos comerciales clave de bancos e instituciones financieras, la "autenticación local sin sensores" está reemplazando a los códigos de verificación SMS tradicionales:
Como solución de actualización para la verificación de identidad, Jianyan se ha asociado con los tres principales operadores nacionales para lanzar " autenticación local sin sentido"Autenticación local". El número de teléfono móvil en la tarjeta SIM del usuario es verificado directamente por la puerta de enlace del operador y todo el proceso se cifra en lugar del código de verificación por SMS. Deje que los delincuentes no tengan mensajes de texto que rastrear y resuelva el riesgo de rastreo de mensajes de texto desde la causa raíz. Al mismo tiempo, también simplifica enormemente el proceso de operación del usuario, hace que la experiencia del usuario sea más fluida, aumenta efectivamente la tasa de conversión, ayuda a los bancos e instituciones financieras a optimizar el proceso de certificación y les ayuda a innovar, retener y promover actividades.
Para los usuarios de bancos, mejorar su conciencia sobre privacidad y seguridad puede prevenir más de la mitad de los riesgos de seguridad: hay un conjunto de datos en el Informe de Costos de Violación de Datos de 2019, el 49% de las filtraciones de datos fueron causadas por humanos errores y fallas del sistema, convirtiéndolos en víctimas de ataques de phishing.
Afortunadamente, es relativamente fácil defenderse de los ataques de phishing por SMS. Descubrirá que, mientras no haga nada, normalmente podrá mantenerse a salvo. Entonces, cuando encuentre un mensaje de texto sospechoso de phishing, también puede calmarse y pensar en tres preguntas:
Por supuesto, si se encuentra con un mensaje de texto rastreado, también debe responder rápidamente, como por ejemplo:
Como usuarios del Banco, deben aumentar su atención y sensibilidad a los incidentes de seguridad móvil, realizar respuestas de emergencia a incidentes relacionados con personas y hacer un buen trabajo para detener las pérdidas posteriormente. Una vez que se encuentre con la situación anterior, debe estar más atento y tomar contramedidas, como apagar el teléfono o activar el modo avión si es necesario.
Es previsible que en los próximos años la seguridad de las redes móviles siga sin ser optimista. La proliferación e integración de las filtraciones de privacidad y los ataques móviles se profundizarán aún más y conducirán a la proliferación de los ciberataques. El enfrentamiento continuará. Ya sea una empresa o un consumidor, sólo fortaleciendo continuamente la conciencia de seguridad, mejorando la capacidad de resistir los riesgos y eliminando los riesgos potenciales de manera oportuna se puede mantenerse alejado de los riesgos. Esta es una verdad inmutable.